Diventare CISO

I sessione
Lunedì 11 maggio 2026, ore 10.00 – 13.00

Il CISO nel contesto normativo e i compiti operativi fondamentali

• Presentazione del percorso formativo

• Il panorama attuale delle minacce cyber in Italia: dati e statistiche aggiornate

• Perché il CISO è indispensabile oggi: cybersicurezza come questione di governance e compliance

Modulo 1
Evoluzione del ruolo del CISO

• Dall'IT Security Manager al CISO strategico: evoluzione storica dagli anni ’90 a oggi

• La trasformazione digitale e le nuove sfide: Cloud, IoT/OT convergence, AI, minacce evolute

• Il CISO nella governance aziendale: posizionamento organizzativo e linee di riporto (CEO/CdA vs. CIO)

• Le tre dimensioni del CISO moderno: tecnica, giuridica, manageriale

• Principali tipologie di attacco: ransomware, phishing, supply chain, DDoS, insider threat, zero-day

• Il CISO nella Digital Transformation: Security by Design, Zero Trust Architecture, DevSecOps, AI

Modulo 2
Quadro normativo europeo

• GDPR (Reg. UE 2016/679): artt. 5, 25, 32, 33-34, 35 — gli obblighi che coinvolgono il CISO

• CISO e DPO: complementarietà, distinzioni e rischio di cumulo dei ruoli

• Direttiva NIS 2: i 10 obblighi operativi che ricadono direttamente sul CISO

• Regolamento DORA (applicabile dal 17 gennaio 2025): framework ICT, TLPT, registro fornitori

Modulo 3
Quadro normativo nazionale

• Perimetro di sicurezza nazionale cibernetica (D.L. 105/2019 — L. 133/2019)

• Agenzia per la Cybersicurezza Nazionale (ACN): funzioni, CSIRT Italia, rilevanza per il CISO

• L. 90/2024: impatto operativo — referente cybersicurezza, crittografia, formazione obbligatoria

• Quadro sanzionatorio comparato: GDPR, NIS 2, DORA, CRA, L. 90/2024

Modulo 4
Compiti operativi del CISO — Prima parte

• Panoramica dei compiti: politiche, risk assessment, misure tecniche e organizzative, incident response

• Definizione delle politiche di sicurezza: Information Security Policy, AUP, Access Control, Data Classification

• Valutazione e gestione del rischio cyber: ISO 27005, NIST SP 800-30, ENISA — ciclo a 5 fasi

• Gestione degli incidenti: ciclo Preparazione → Rilevazione → Contenimento → Eradicazione → Ripristino → Lessons learned

• Obblighi di notifica incidenti: tabella comparativa GDPR / NIS 2 / DORA / L. 90/2024 / Perimetro cibernetico

• Q&A Finale — Approfondimenti su richiesta dei partecipanti

II sessione
Lunedì 18 maggio 2026, ore 10.00 – 13.00

Competenze, responsabilità giuridiche e scenari pratici 

Modulo 5
Compiti operativi del CISO — Seconda parte

• Continuità operativa (BCP) e Disaster Recovery (DRP): BIA, RTO, RPO, test semestrale, failover

• Formazione e sensibilizzazione: onboarding, phishing simulation, security awareness, board briefing

• Gestione supply chain: due diligence, clausole contrattuali obbligatorie, monitoring, exit strategy

• Metriche e KPI del CISO: MTTD, MTTR, patch rate, phishing click rate, compliance score, uptime

• Budget e ROI della cybersicurezza: come comunicare il valore dell'investimento al board

• Audit interni e framework di compliance integrato: GDPR, NIS 2, DORA, D.Lgs. 231/2001, ISO 27001

Modulo 6
Responsabilità civile, penale e amministrativa del CISO

• Responsabilità civile contrattuale (art. 1218 c.c.): obbligazione di mezzi, onere probatorio, clausole di manleva

• Responsabilità civile extracontrattuale (art. 2043 c.c.): danno ingiusto verso terzi, nesso causale

• Responsabilità ex D.Lgs. 231/2001: artt. 24-bis e 25-quinquies — reati informatici dell'ente

• Profili di responsabilità penale: artt. 615-ter, 616-617, 635-bis c.p.; artt. 167-168 D.Lgs. 196/03

• Posizioni di garanzia e deleghe di funzione: requisiti formali, limiti, documentazione indispensabile

• Strumenti di tutela legale: contratto dettagliato, polizza D&O, cyber insurance, clausola di manleva

Modulo 7
Rapporti con le altre figure aziendali e casi pratici

• CISO e DPO: interazione su data breach, DPIA e formazione; criticità nel cumulo dei ruoli

• CISO e Organismo di Vigilanza 231: flussi informativi, protocolli art. 24-bis, whistleblowing

• Coordinamento con il CIO: tensioni operative, DevSecOps come punto di sintesi

• CISO e Consiglio di Amministrazione: reporting trimestrale, cyber risk appetite, escalation

• NIS 2 art. 20: responsabilità e formazione obbligatoria degli organi di gestione

• Caso pratico n. 1: gestione di un data breach ransomware in azienda sanitaria (T+0 → T+30 giorni)

• Caso pratico n. 2: roadmap di implementazione NIS 2 in 6 fasi per un soggetto essenziale (12 mesi)

Modulo 8
Competenze, certificazioni e scenari futuri

• Il profilo professionale del CISO: competenze tecniche, giuridiche e manageriali

• ISO/IEC 27001: struttura PDCA, approccio risk-based, certificazione e integrazioni (ISO 27005, 27701, 22301)

• NIST Cybersecurity Framework 2.0: Govern, Identify, Protect, Detect, Respond, Recover

• Certificazioni professionali: CISSP e gli 8 domini, CISM, ISO 27001 LA, CISA, CEH — tabella comparativa

• Formazione continua: threat intelligence, aggiornamento normativo, AI, quantum computing, soft skills

• Il CISO e l‘intelligenza artificiale: alleato (rilevazione anomalie, automazione IR) vs. nuova minaccia (deepfake, evasione)

Modulo 9
Conclusioni e raccomandazioni operative

• Decalogo per un CISO efficace: i 10 punti fondamentali

• I primi 100 giorni del CISO: roadmap Assessment → Quick Wins → Strategia → Esecuzione

• Checklist di compliance integrata: GDPR, NIS 2, DORA, CRA, L. 90/2024, D.Lgs. 231/2001, ISO 27001

• Errori comuni da evitare: fattore umano, silos organizzativi, mancata documentazione, supply chain negletta

• Modello di maturità della cybersicurezza: da livello 1 (iniziale) a livello 5 (ottimizzato)

• Q&A Finale — Approfondimenti su richiesta dei partecipanti